基于本地虚拟化技术的隐藏进程检测.pdfVIP

V01．28 第28卷第7期 计算机应用 No．7 2008 2008年7月 ComputerApplications July 文章编号：1001—9081(2008)07—1769—03 基于本地虚拟化技术的隐藏进程检测 温研1，赵金晶2，王怀民1 (1．国防科学技术大学计算机学院，长沙410073；2．北京系统工程研究所，北京100101) (eelestialwy@126．tom) 摘 要：自隐藏恶意代码已成为PC平台下急需解决的安全问题，进程隐藏则是这类恶意代码最常用和最基本的 规避检测的自隐藏技术。针对这个问题，提出了一种新的基于本地虚拟化技术的隐藏进程检测技术——Gemini。基 Virtual Machine)完整重现了宿主操作系统的运 于该本地虚拟化技术，Gemini在本地化启动的虚拟机中(Local．Booted 藏进程的能力。测试结果证明了宿主计算环境重现的有效性与隐藏进程检测的完整性。 ’ 关键词：虚拟机监视器；虚拟机；自隐藏恶意代码；本地虚拟化技术；进程隐藏 中图分类号：TP309．5文献标志码：A hidden withlocalvirtualization Detectingprocess technology WEN Huai·minl Yanl，ZHA0 Jin-jin92，WANG Hunan (1．SchoolofComputer,NationalofDefenseTechnology,Changsha410073，China； University Institute System 100101，China) 2．Beijing of Engineering,Be彬ng stealthmalwareis a threattothePC isthe Abstract：Currently becomingmajor computers．Processhiding technique anew usedstealthmalwaretoevadedetectionanti—malwarescanners．Inthis VM—based co